pikachu靶场 -- 持续更新中

Cross-Site Scripting

反射型xss(get)

有长度限制，更改长度

<script>alert('xss')</script>

反射型xss(post)

先登录

输入<script>alert('xss')</script>

存储型xss

<script>alert("脚本小子")</script>

当我们进行页面切换，然后再次切换回来，发现弹窗依然存在，说明我们输入的语句已经被存储起来。

存储型是永久性的，反射型是一次性的。

CSRF

CSRF(get)

先登录进去

使用bp抓包

发送到重放器

修改手机号

CSRF(post)

File inclusion

File inclusion(local)

随便选一个提交

观察URL发现

构造../../../../../../../../返回主目录

得到敏感信息

File Inclusion(remote)

准备一句话木马